Le cycle PDCA en management de la sécurité : guide pratique

Planifier, Faire, Vérifier, Agir sous-tend la plupart des systèmes de management de la sécurité, que le nom soit employé ou non. L'ISO 45001 est ouvertement construite sur ce cycle et en expose la correspondance dans son introduction.

En pratique, les deux premières étapes reçoivent l'essentiel de l'attention. Les dangers sont identifiés, des mesures sont mises en place, des actions sont ouvertes puis clôturées. Les deux étapes suivantes, qui demandent si la mesure a fonctionné et ce qu'il faut faire de la réponse, sont plus difficiles à doter en moyens et plus faciles à reporter.

C'est compréhensible. Vérifier et Agir reposent sur des preuves souvent réparties à plusieurs endroits, et elles ont besoin d'un responsable une fois la réponse immédiate terminée et l'attention passée à autre chose. Cet article expose ce que ces étapes exigent, et comment les équipes les rendent praticables.

Ce que signifie chaque étape dans un système de management de la sécurité

Chaque étape répond à une question différente, et chacune correspond à une partie précise de la norme.

Planifier : partir d'une défaillance précise

La planification est plus facile à mettre en œuvre quand le sujet est une défaillance observable plutôt qu'un thème.

« Améliorer la sécurité des chariots élévateurs » est un thème. Cela n'a ni point d'arrivée, ni indicateur, et aucune mesure unique n'en découle. « Trois presqu'accidents en six mois, tous à la même porte, tous pendant le créneau de chargement sortant » est une défaillance. Cela indique où regarder, qui interroger, et à quoi ressemblerait la réussite.

La deuxième chose à intégrer à l'étape Planifier est le récit du terrain sur les raisons pour lesquelles une mesure est contournée. Les mieux placés pour l'expliquer sont généralement ceux qui la contournent, et ils ont le plus souvent une raison qui se tient de leur point de vue. Le chapitre 5.4 fait de la consultation des travailleurs une exigence et non une politesse, et c'est là sa valeur pratique : un plan construit sans cet apport peut produire des mesures qui échouent pour des raisons que l'équipe aurait pu nommer à l'avance.

Un plan exploitable énonce quatre choses : la défaillance en termes observables, une hypothèse sur sa cause, la mesure qui découle de l'hypothèse, et l'indicateur qui montrera si l'hypothèse était juste. Mieux vaut choisir l'indicateur avant de mettre la mesure en place, car un indicateur choisi après coup a tendance à être celui qui correspond au résultat.

Faire : mettre en œuvre, et consigner ce qui a été mis en œuvre

Faire est l'étape que la plupart des organisations mènent bien. Le détail à surveiller est l'écart entre la mesure telle qu'elle est écrite et la mesure telle qu'elle est installée.

Une procédure est révisée, mais l'exemplaire au poste de travail est la version précédente. La formation est dispensée à l'équipe de jour et n'atteint pas celle de nuit. Un protecteur est spécifié et monté, mais monté de façon à rendre une tâche courante malcommode : il est déposé sous quinze jours. Dans chaque cas, la fiche d'action indique « terminée » alors que la mesure n'est pas pleinement en service.

Faire produit donc deux résultats et non un seul : le changement sur le terrain, et un enregistrement daté de ce qui a changé et où. La date pèse plus qu'il n'y paraît, car sans elle Vérifier n'a aucune frontière entre l'avant et l'après.

Vérifier : l'étape qui demande le plus de moyens

Clôturer une mesure corrective enregistre que quelque chose a été fait. Savoir si cela a fonctionné est une autre question, et c'est celle à laquelle Vérifier sert à répondre.

Pour la plupart des mesures introduites l'an dernier, la fiche d'action est facile à retrouver. L'avant et l'après prennent plus de temps. Les obstacles sont pratiques plutôt que culturels, et il y en a généralement trois.

1. Les preuves sont réparties à plusieurs endroits

La mesure corrective est dans un registre. Les constats d'inspection qui la testeraient sont dans un autre. Les déclarations de presqu'accidents dans un troisième, les dossiers de formation dans un quatrième, et l'appréciation des risques d'origine dans une bibliothèque documentaire. Vérifier une seule mesure suppose de sortir plusieurs exports et de les recouper à la main.

Ce genre de travail se fait plutôt à l'approche d'un audit qu'en routine, ce qui est une réponse raisonnable à l'effort demandé. C'est aussi la partie du problème qu'un outil peut réellement supprimer : lorsque l'action, le risque dont elle découle et les inspections qui la testent forment un seul enregistrement relié, Vérifier devient une affaire de filtrage plutôt que de reconstitution. C'est le raisonnement derrière la façon dont ENSURE garde une action rattachée à sa source.

2. L'indicateur peut être trop rare pour réagir

Sur un site de 120 personnes, les accidents à déclarer sont un chiffre à faible fréquence. Si le taux d'accidents est le seul indicateur permettant de savoir si une mesure a fonctionné, le signal met des années à apparaître, et un trimestre calme ne prouve rien dans un sens ni dans l'autre.

Vérifier fonctionne mieux avec des indicateurs assez proches de la mesure pour évoluer avec elle. Le permis est-il bien établi. Le protecteur est-il en place lors d'un contrôle inopiné. L'analyse avant tâche est-elle réalisée sur le poste où l'incident s'est produit, plutôt que sur l'ensemble du site. Ceux-là réagissent en quelques semaines, et ils réagissent à ce qui a précisément changé.

3. La responsabilité n'est pas claire

Planifier a un responsable de l'appréciation des risques. Faire a un responsable hiérarchique. Vérifier n'a souvent qu'une ligne à l'ordre du jour d'une revue de direction dans quelques mois, moment auquel la personne qui a ouvert l'action peut avoir changé de poste.

Le correctif est peu glorieux : lorsqu'une mesure est approuvée, fixez la date de vérification et nommez son responsable en même temps, dans le même enregistrement. Une vérification qui n'est pas planifiée au moment de l'approbation l'est rarement plus tard.

Agir : adopter, adapter ou remplacer

Agir est la décision sur ce que le système fait de ce que Vérifier a constaté. Trois issues sont légitimes : adopter la mesure et la standardiser sur les autres lignes et sites, adapter lorsque les preuves montrent qu'elle a partiellement fonctionné, ou la remplacer par une autre mesure.

On l'interprète parfois comme un nouveau tour de mise en œuvre. Une mesure est insuffisante, on en met donc davantage : plus de formation, plus de signalisation, plus de rappels, plus de validations. C'est une seconde ration de Faire, et il vaut la peine de le nommer, car l'autre conclusion possible à ce moment-là est que la mesure elle-même n'était pas la bonne.

Retirer les mesures qui ne fonctionnent pas est l'un des gestes les plus utiles à disposition, et l'un des moins employés. Chaque mesure coûte de l'attention, et l'attention est limitée sur un plancher de production. Les mesures visiblement inefficaces coûtent aussi une part de la crédibilité dont dépendent les mesures efficaces.

Agir a une obligation que les autres étapes n'ont pas : ses résultats doivent se diffuser. Une mesure éprouvée sur un site et jamais évoquée sur les quatre autres est un correctif local, pas une amélioration. C'est l'intention du chapitre 10.3, et la raison pour laquelle une mesure corrective qui mérite d'être adoptée gagne à être consignée comme une modification du standard, de la procédure ou du contenu de formation plutôt que comme un ticket clôturé.

Le cycle tourne à deux vitesses

Un cycle annuel, qui prend la forme d'une revue de direction, est un exercice de gouvernance. Il est exigé, il satisfait le chapitre 9.3, et ce n'est généralement pas de là que vient l'amélioration au quotidien.

Le cycle qui change les résultats est court. Un danger est signalé le lundi, une mesure est en place le vendredi, et quatre semaines plus tard quelqu'un vérifie si le comportement visé a changé, et décide. La revue annuelle agrège alors des boucles déjà bouclées plutôt que de les amorcer.

Faire tourner la boucle courte demande quelque chose de précis au système : un danger signalé depuis le terrain doit pouvoir porter une mesure, un responsable et une date sans que personne n'ouvre un tableur, et le suivi doit atterrir sur la liste de quelqu'un plutôt que dans la mémoire de quelqu'un. Cela vaut la peine d'être vérifié au moment de choisir ou de configurer un système.

Un exemple concret

Interaction piétons / chariots élévateurs dans un entrepôt. Trois presqu'accidents en six mois.

• Planifier. Le point de départ n'est pas « améliorer la sécurité des chariots élévateurs ». Les trois presqu'accidents ont eu lieu à la même porte, pendant le créneau de chargement sortant. Interroger les caristes et les préparateurs, et pas seulement le superviseur, produit l'hypothèse : le cheminement piéton balisé ajoute quatre-vingt-dix secondes, les gens traversent donc l'allée. La mesure qui en découle est une modification du cheminement, pas un briefing. L'indicateur, choisi à l'avance, est un comptage inopiné du cheminement emprunté par les piétons, ventilé par poste.
• Faire. Modifier le cheminement pour que le trajet conforme soit réellement plus court que le raccourci. Briefer les deux groupes, car un changement compris par un seul groupe peut créer un nouveau danger. Consigner la date d'ouverture du nouveau cheminement.
• Vérifier. Comptages inopinés sur trois postes, nuit comprise, à quatre semaines puis à douze. Les presqu'accidents à cette porte sont également suivis, comme indicateur de confirmation plus lent.
• Agir. Les comptages ressortent à 90 % en journée et 40 % de nuit. Reformer l'équipe de nuit est une option. L'étape suivante la plus utile est de demander ce qui diffère la nuit, de découvrir que le nouveau cheminement passe par une section non éclairée, et de traiter l'éclairage. Puis de décider s'il faut adopter le changement sur les autres sites.

Le constat utile ici était « cela a fonctionné de jour et pas de nuit », et il n'existait que parce que l'indicateur était ventilé par poste. Un chiffre unique au niveau du site aurait affiché 65 %, ce qui appelle un rappel général à tout le monde et ne change pas grand-chose.

Cinq choses qui bloquent le cycle

• Le plan part d'un thèmePeu de choses mesurables découlent de « améliorer la manutention manuelle ». Une défaillance précise et observable donne au cycle quelque chose à refermer.
• On confond réalisation et mise en serviceUne action marquée terminée et une mesure en service sont deux affirmations différentes. La seconde mérite d'être confirmée.
• L'indicateur est trop rare pour réagirLes taux d'accidents sur un site unique évoluent lentement. Un indicateur proche de la mesure, choisi avant sa mise en place, donne une réponse en quelques semaines.
• Agir répète FaireDavantage d'une mesure qui ne fonctionne pas relève de la mise en œuvre, pas d'une décision. Adopter, adapter ou remplacer.
• Seule la boucle annuelle tourneSi le cycle le plus court disponible dure douze mois, le système sert la conformité plus que l'amélioration.

Un point de départ concret

Prenez une mesure introduite l'an dernier. Notez ce qu'elle devait changer, rassemblez les preuves disponibles de part et d'autre de sa date de mise en place, et décidez s'il faut la conserver, l'ajuster ou la remplacer.

C'est un tour complet du cycle. C'est généralement un travail modeste, et il montre clairement lequel des trois obstacles ci-dessus mérite d'être traité avant le tour suivant.